侵犯个人信息行为的刑法全流程规制模式研究

在个人信息行为规制方面,我国前置法与刑法之间存在明显差异,前置法通过处理规则的设计实现了全流程规制,而刑法只能对部分不法处理行为进行惩治。此种规范格局导致法律难以衔接并形成刑法保护的盲区,不利于全面保护个人信息权益。对此,应提倡个人信息的刑法全流程规制模式,通过间接罪名适用法和法益量刑评价法对不同类型处理行为进行合理规制。通过理论维度和规范维度的证成,可以验证全流程规制模式具有可操作性。应当适用刑法合理规制非法收集行为和非法存储行为,保障前期阶段信息处理安全;适用刑法精准规制非法加工行为、非法使用行为和非法流转行为,保障中期阶段信息处理安全;运用刑法适度规制非法披露行为和非法删除行为,保障后期阶段信息处理安全。

侵犯公民个人信息罪的法定犯意涵

个人信息刑法保护模式的选择离不开对侵犯公民个人信息罪本质属性的认识,目前多数学者将本罪理解为自然犯,但这种认识存在诸多误区。根据学界对自然犯/法定犯区分具有共识的三个标准:首先,从古代国家到现代国家、从现代社会到信息社会,个人信息在社会变迁中经历了“古今之变”,只有在信息社会中才得以获得法律的全面保护;其次,侵犯公民个人信息罪的保护法益兼具个人法益和超个人法益的双重面向,不应忽视个人信息作为社会交往之构成要素的集体法益维度;最后,侵犯公民个人信息罪中“违反国家有关规定”是法定犯的前置法律法规,其内涵是国家对个人信息处理者施加的合规义务。因此,侵犯公民个人信息罪是法定犯而非自然犯。以此为起点,开展以侵犯公民个人信息罪为代表的法定犯基础理论研究,是未来值得开拓的重要方向。

已公开个人信息的刑法保护界限

未经同意处理已公开个人信息是否构成犯罪在司法实务中存在争议。既有理论中,二次授权说违反法秩序统一原则,也过度限制了个人信息的合理运用;信息开放程度说则使知情同意的判断沦为形式。基于弱同意说,若未经同意的信息处理行为符合自愿公开个人信息的用途或情境,便是在合理范围内处理个人信息,因而不够成犯罪;即便不符合,只要信息主体未表示明确拒绝且未损害其重大利益,便不具有可罚的违法性因而不构成犯罪。由于依法必须公开的个人信息涉及公共利益,只要信息处理行为不以违法犯罪为目的便不应构成犯罪。对已公开个人信息的刑法保护需要侧重于打击非法使用个人信息的行为,为此应将其犯罪化。

网络暴力场域中公民个人信息的刑法保护

网络暴力是指在信息网络上针对个人肆意发布谩骂侮辱、造谣诽谤、侵犯隐私等信息,损害他人名誉,扰乱网络秩序的行为。网络暴力与侵犯公民个人信息行为密切相关,实现刑法对公民个人信息的周全保护有利于削减网络暴力数量、抑制网络暴力产生、降低网络暴力危害。侵犯公民个人信息型网络暴力的行为类型主要为非法获取与非法提供,在满足其他要件的情况下构成侵犯公民个人信息罪;应纳入刑法规制范围的侮辱型网络暴力必须指向特定自然人,因而其中必然包含个人信息的非法泄露,后者应按照侵犯公民个人信息罪定罪处罚;提供他人真实信息的诽谤型网络暴力本身即为公民个人信息的非法提供,属于侵犯公民个人信息罪与诽谤罪的竞合。公开信息属于刑法中的公民个人信息,“人肉搜索”行为是否构罪取决于信息处理行为是否具有合理性;应在侵犯公民个人信息罪中增加“非法利用”行为要件,实现对单纯滋扰行为的有效规制;以拒不履行信息网络安全管理义务罪、非法利用信息网络罪等罪名追究网络暴力事件中平台的刑事责任,同时对其安全管理义务提出具体要求。

涉疫信息安全法益的刑法保护之检视及对策探析

通过分析涉疫信息的特征及其安全法益的独特保护价值,结合《刑法》与其司法解释有关侵犯公民个人信息行为的条款,得出《刑法》对数据信息类犯罪的规制存在空缺、其司法解释未与以涉疫信息敏感性界分的前置性行政法律规范在法秩序统一性原理层面达成一致,以及侵犯公民个人信息罪在公共卫生领域对数据的正向利用未给予合理解释空间,使得信息活用存在刑事风险的问题。针对上述困境提出:明晰计算机信息系统、数据及信息安全法益间的独立关系、对涉疫信息分类分级进行刑事保护并设立侵害公共数据罪,以及增设为疫情防控、远程医疗与药物临床分析等合理使用涉疫信息特定人群的豁免条款的建议。

人脸识别信息侵害行为的刑法应对

人脸识别信息侵害行为呈现出法益侵害的精准化、链条化,具有法益侵害的直接指向性。当前,人脸识别信息侵害行为存在入罪标准不明、对涉人脸识别犯罪部分环节评价不足的刑法规制困境。对人脸识别信息侵害行为的刑事应对策略,应当明确入罪标准,构建个人信息二分保护体系。对于非法存储行为,可用不作为的侵犯公民个人信息罪或者拒不履行网络安全管理义务罪规制;对于非法加工行为,可用帮助信息网络犯罪活动罪规制;对于非法利用人脸识别信息侵害行为,应当通过扩充侵犯公民个人信息罪构成要件行为方式的做法实现其入罪化。

个人基因信息的刑法保护路径研究——兼论侵犯公民个人信息罪所涉的法益

“基因”与“基因信息”是不同概念,前者是指后者的原初物质载体;后者所指应当与个人健康信息、健康生理信息、生物识别信息相区分;个人基因信息在主体、性质及其应用方面的特点,决定了侵犯公民个人信息罪的法益是具有公法属性的个人法益;在适用该罪所规制的侵犯个人基因信息的行为时,应当将部门规章纳入“违反国家有关规定”的范围;对“情节严重”可以从立法与法理解释上进行完善。

侵犯公民个人信息罪的认定

刑法中侵犯公民个人信息罪的认定标准应当与《个人信息保护法》相协调。在界定公民个人信息的内涵方面,应站在体系化的角度全面进行分析,可参考《个人信息保护法》对公民个人信息“二分法”的分类方式,并运用“概括+列举”式的规定,将公民个人信息分为敏感个人信息和一般个人信息。在限定“违反国家有关规定”方面,应对“国家有关规定”作限缩解释,仅包括法律和行政法规。在认定行为方式内容方面,应及时调整侵犯公民个人信息罪的行为方式内容,将更具社会危害性的合法获取个人信息后非法使用的行为,纳入侵犯公民个人信息罪的行为方式内容之中。

侵犯公民个人信息罪的犯罪经济学分析

针对目前我国侵犯公民个人信息罪多发高发的态势,借用犯罪经济学的需求弹性理论和成本-收益模型,对2021年中国裁判文书网中580份侵犯公民个人信息罪刑事判决书进行实证分析研究得出,目前我国侵犯公民个人信息的犯罪活动对惩罚价格的反应在立法实践和司法实践中存在一定“弹性”差异,犯罪收益可观而犯罪成本甚微是此类犯罪多发高发的主要原因。为有效治理侵犯公民个人信息罪,应从减少犯罪收益、增加犯罪成本角度入手,持续加强对此类犯罪的司法打击力度,进一步明晰“公民个人信息”概念范围,适当扩充侵犯公民个人信息罪犯罪圈,促使侵犯公民个人信息罪治理由“缺乏弹性”向“富有弹性”转变。

论《中华人民共和国刑法》第253条之一“公民个人信息”的认定

公民个人信息认定在刑事司法中存在扩张风险。公民个人信息不包含隐私权保护内容。作为法定犯,侵犯公民个人信息罪需兼具形式的前置法违反性和实质的法益侵害性。“自然人活动情况”不应突破前置法的范围。已公开个人信息应区分自愿公开和强制公开,自愿公开存在特定事由可阻却违法性。高度敏感信息的范围宜作限缩,排除“多次结合”与“结合中作用小”的情形。

侵犯公民个人信息罪中同意的地位

侵犯公民个人信息罪是近几年来的研究热点,这一罪名的设立对个人法益,乃至社会法益、国家法益的保护都有重要意义。理论界主要围绕同意能否成为该罪名的违法阻却事由展开讨论,存在极端说和违法阻却事由机能说的争论。其中,极端说包括违法阻却事由不能说和完全的违法阻却事由说。相较而言,违法阻却事由机能说最为合理,据此,同意虽然能够成为违法阻却事由,但并非在所有情况下都能成为违法阻却事由。为了限制同意阻却违法性的刑法效果,还需要在刑法中将个人信息进一步分类,即分为核心领域信息、次核心领域信息及一般领域信息。由此,同意阻却违法性的刑法效果按照核心领域信息、次核心领域信息、一般领域信息的顺序依次削弱。

侵犯公民个人信息罪之法益辨析及出罪路径探究

侵犯公民个人信息罪的法益纷争尚存,超个人法益论偏向于个人信息公共属性的彰显,而忽视对其更为本质的个体属性的征表。个人信息保护维度的逐步拓展,致使合理适用个人信息的途径限缩。为克服理论层面存有的法益认知偏差,对超个人法益检视之际,辨析回归个人法益的可行性。以出罪路径为视角厘清公民个人信息的甄别基准,对违反国家有关规定予以限缩解释,探寻情节严重标准的合理限度。进一步完善知情同意免责机制,切实保障公民个人信息安全,推动数字经济稳健发展。

侵犯公民个人信息罪的法益确证

对侵犯公民个人信息罪行为对象的概念解读应突破文义的局限,重视法律用语实质内涵下的公共安全属性。侵犯公民个人信息罪之个人法益说片面强调了该罪对公民个人利益的保护而忽视了对公共信息安全的保障。从法益概念的扩张、刑法目的及解释论出发,公共信息安全成为证立侵犯公民个人信息罪刑法规范正当化的法益基础。“违反国家有关规定”作为该罪提示违法性的契机,在限制刑法处罚范围、体现刑法谦抑性的基础上加强了该罪公共信息安全法益的证成。

民法编纂背景下侵犯公民个人信息罪的保护法益:信息自决权——以刑民一体化及《民法总则》第111条为视角

为避免法益概念的抽象化并充分发挥法益限制处罚的机能,在已确定侵犯公民个人信息罪保护法益为个人信息权的前提下还应将之具体化。在民法编纂背景下,基于刑民一体化视角与法秩序统一性原理,并结合《民法总则》第111条的规定,侵犯公民个人信息罪的保护法益是个人信息权中的信息自决权。分析欧美两大模式个人信息保护的理论源头,个人信息的使用体现出信息主体的意志力,具有赋权效果,以信息自决权作为该罪法益可突出个人信息权在理论源头上与人的尊严和自由密切相关性。基于民法要扩张刑法要谦抑的理念,侵犯公民个人信息罪所保护的也不是等同于民事权利的个人信息权,而是其中最重要的权利即个人信息自决权;以信息自决权作为侵犯公民个人信息罪的保护法益,正是对刑法一般性的自我决定权的丰富和发展,并能充分发挥刑法保护公民自由等个人法益之机能。信息自决权司法实践中具有甄别值得处罚的侵犯公民个人信息行为的机能。

侵犯公民个人信息罪中“公民个人信息”的法益属性与入罪边界

在我国刑法中"公民个人信息"长期的附属保护模式,加之"刑先民后"的立法现状,使得"公民个人信息"的内涵外延以及法益属性未能得到清晰的界定,不利于侵犯公民个人信息罪的适用和"公民个人信息"的刑法保护。有必要立足于现有的刑法框架和司法解释,对当前"公民个人信息"的规范概念进行系统解读,进而明确"公民个人信息"的法益属性和刑法保护边界。刑法对于"公民个人信息"的保护思路应当是,在确认其人身属性、财产属性和相关法益依附属性的基础上,赋予其新型的权利地位。

非法取得或利用人脸识别信息行为刑法规制论

人脸识别信息具备识别特定自然人身份的属性,应属于《刑法》第253条之一规定中的“公民个人信息”。对于非法取得或利用人脸识别信息行为,现行刑法主要存在以下规制困境:一是尚未明确对非法获取、出售或者提供人脸识别信息的行为进行规制;二是尚未对非法存储、使用、加工人脸识别信息等可罚性较高的行为进行规制。人脸识别信息实际上可以归为《解释》所规定的“其他可能影响人身、财产安全的公民个人信息”。对于非法获取、出售或者提供人脸识别信息行为,应通过进一步明确相关司法解释的规定进而将其认定为侵犯公民个人信息罪。对于合法获取公民人脸识别信息后非法存储的行为,可认定为不作为的非法获取人脸识别信息行为,继而以侵犯公民个人信息罪定罪处罚。对于非法使用、加工人脸识别信息的行为,可通过扩大解释侵犯公民个人信息罪中“非法”的范畴甚或增设非法利用公民个人重要信息罪加以规制。

数据化时代“公民个人信息”的范围再界定

作为保护公民个人信息不受侵犯的有效途径,传统解释中的侵犯公民个人信息罪已然不能满足数据化时代的基本需求。为有效应对侵犯公民个人信息行为现阶段呈现出的新特点,需要对"公民个人信息"进行教义阐释,重新厘定公民个人信息实质内涵和法益保护重点,进而确定公民个人信息在数据化时代的具体涵义。为了加强个人信息保护并避免适用中的模糊性,应将个人隐私信息、生物识别信息、个人金融信息、个人信用信息等纳入公民个人信息的应然范畴,这不失为化解侵犯公民个人信息罪司法适用困境的有效途径。

侵犯公民个人信息罪的精准解释

侵犯公民个人信息罪新近立法情势、大数据时代犯罪治理思维变革趋势、新时代我国司法公正供需矛盾态势蕴含着侵犯公民个人信息罪精准解释的迫切需求。最高司法机关联合颁布司法解释,以解读立法关键词的方式,以精细规定谋求精准解释,在不同信息类型差别评价、不同信息比例合计评价、批量信息数量灵活评价、合法经营要素单独评价等方面竭力创新,既为侵犯公民个人信息罪精准司法提供了遵循,又留下了适用困惑和想象空间。优化侵犯公民个人信息罪精准解释,应注重综合把握犯罪成立条件,防止精准解释碎片化;系统解读兜底条款规定,防止精准解释空泛化;科学树立精准解释理念,防止精准解释数字化。

法秩序统一性视域下“违反国家有关规定”的应然解释——《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第2条评析

合宪性解释是刑法解释的一种方法,对刑法解释结论的正当性具有最高检验标准的功能。对于刑法第253条之一的"违反国家有关规定",根据文义解释方法,可以得出包括"违反法律、行政法规和部门规章的规定"的解释结论,并且可以通过目的解释方法得到补强。但是,根据合宪性解释,如果采用这一结论,则将导致整体法秩序统一性被破坏,因而应当否定这一结论。

侵犯公民个人信息罪的司法适用——以《网络安全法》为视角

《刑法修正案(九)》修正了侵犯公民个人信息罪,进一步强化了对公民个人信息的刑法保护。与此同时,变动后的刑法条款在适用过程中仍存在不少基础性的问题。近期通过的《网络安全法》对个人信息保护的相关内容有更清晰的界定,侵犯公民个人信息犯罪司法适用过程中应当结合《网络安全法》的规定,对"公民个人信息"、"违反国家有关规定"等概念进行准确理解和运用,以达到刑法和相关法律法规的协调统一。但是,《网络安全法》只是暂时的替代品,为了实现对公民个人信息的全面保护,应当尽快出台《个人信息保护法》。